3.Служба каталогов Active Directory

Каталог – БД, которая использует для хранения сведения о необходимых объектах. Служба каталогов является и БД, и объектами, обеспечивающих доступ пользователя к данным.

Она может решить задачи:

• Обеспечить уровень безопасности сети с помощью авторизированного и контрольного доступа к ресурсам;

• Обеспечивает поиск ресурсов в сети;

• Выполняет регистрацию каталога для обеспечения большого числа пользователей и повышенной защищенности сети от сбоев;

• Разбиение каталога на несколько разделов для повышения отказоустойчивости и уменьшения объема репликации для каждого раздела.

Active Directory (AD) – служба каталогов в ОС Windows. Хранит информацию о физических ресурсах сети, которые называются объектами каталога.

После установки AD, он выполняет роль контроллера домена, остальные объекты (ПК, принтеры), должны быть введены в состав домена на основе их учетных записей.

3.1.Основные понятия ad

Объект – запись в БД или набор атрибутов, определенных конкретных элементов сети.

Контейнер – аналог объекта, но не имеет атрибутов. В AD контейнеры используются для делегирования администраторских прав пользователя и назначении настроек объектам через групповые политики.

Имена – для идентификации объектов AD, различают:

• Уникальное – содержит указание на домен и путь в иерархической структуре контейнеров;

• Относительно-уникальное – часть уникального имени, обозначает объект (в пределах контейнера);

• Для входа в домен – атрибут учетной записи пользователя (в пределах домена).

Домен – централизация управления системой, хранящая информацию о сетевых ресурсах и пользователя, является отдельной администраторской единицей и отдельной областью безопасности в сети Win. Каждый домен имен отдельную область безопасности в сети Win.

Служба каталогов AD может состоять из нескольких доменов, которые связываются между собой доверительными отношениями (в пределах одного леса), обладает одной схемой (описание всех объектов и их атрибутов), пользоваться одним глобальным каталогом (общий индекс БД в каждом домене – используется при поиске по всему лесу).

Дерево домена – описывает иерархию объектов и контейнеров, указывает связь между объектами или путь от одного объекта к другому. Дерево доменов состоит из нескольких доменов, имеют общие логические структуры и образуют непрерывное пространство имен.

Домены в дереве связаны доверительными отношениями.

Дерево – определяет уникальное имя объекта в непрерывном пространстве, т.к. иерархия объектов в дереве позволяют осуществить глубокий поиск по иерархии структуры.

Лес AD – одно или несколько деревьев, не образующих непрерывного пространства имен.

Все деревья леса имеют общую логическую структуру, конфигурацию и глобальный каталог. Поддерживают транзитивные, доверительные отношения.

Корневой домен леса – первый домен, создающийся в AD. Существует группа администраторов, имеющих права на выполнение любых информаций в AD.

3.2.Интеграция ad с dns

AD интегрируется с DNS. Они имеют общую структуру пространства имен, но существуют различия:

1. DNS является службой разрешения имен – клиенты DNS посылает запрос на разрешение имени к своему серверу DNS, который разрешает их с помощью локальных файлов или связывает с другим сервером DNS для разрешение имени. Для этих целей DNS не требуется AD.

2. AD является службой каталогов. Представляет собой хранилище для представления данных пользователя и приложения. Клиенты AD посылают на сервер запросы для определения имени объекта, т.е. для работы AD требуется DNS. AD использует DNS в качестве службы адресации для разрешения доменов, сайтов, имен служб AD в IP-адресах.

Для входа в AD клиент должен быть определен, контроль всего домена. Для этого он отправляет запрос на разрешение имени DNS на соответствующий сервер. Этот запрос обычно содержать запись ресурса SRV и имя запроса.

Пример:

Для входа в домен microinf.ru AD отправляет запрос _idap_top.microinf.ru. В ответ DNS передает имя домена и соответствующий IP-адрес. При получении списка адреса клиент пытается подключиться к каждому из них.

Требование к серверам DNS для AD: должны поддерживать записи типа SRV, которые используются для определения IP-адреса клиентами AD. Хотя требование поддержки SRV не является обязательным для DNS, для его работы совместно с AD его наличие желательно.

Для работы с элементом имен DNS в AD предусматриваются роли